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(57) Abstract 

The invention relates to a method for detecting errors of micropro- 
cessors in control devices of an automobile. According to the inventive 
method, a control device can transmit and receive data via a data bus. The 
output of the microprocessor is monitored by means of a watchdog circuit. 
Said watchdog circuit compares the signal output by the microprocessor 
with predetermined signal patterns. An error is detected by the watchdog 
circuit if the signals output by the microprocessor do not correspond to 
any of the predetermined signal patterns. The invention also relates to a 
further method for detecting errors of microprocessors in control devices 
of an automobile. According to said further method, a first control device 
can exchange data with at least one further control device via a data bus. 
The data required for carrying out at least part of the control or regulatory 
task of the first control device are supplied by the same to the at least one 
further control device via the data bus. 

(57) Zusammenfassung 

Die vorliegende Erfindung betrifft ein Verfahren zur Fehlererkennung 
von Mikroprozessoren in Steuergeraten eines Kfz, wobei ein Steuergerat 
mittels eines Datenbusses Daten senden und empfangen kann, wobei der 
Ausgang des Mikroprozessors mittels einer Watchdog-Schaltung Uberwacht 
wird, wobei die Watchdog-Schaltung die von dem Mikroprozessor aus- 
gegebenen Signale mit vorgegebenen Signalmustem vergleicht, wobei ein 
Fehler erkannt wird, wenn die von dem Mikroprozessor ausgegebenen Sig- 
nale nicht mit einem der vorgegebenen Signalmuster tibereinstimmen. Weit- 
erhin betrifft die Erfindung ein Verfahren zur Fehlerkennung von Mikro- 
prozessoren in Steuergeraten eines Kfz, wobei ein erstes Steuergerat mittels 
eines Datenbusses Daten mit wenigstens einem weiteren Steuergerat aus- 
tauschen kann. 
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Verfahren zur Fehlererkennung von Mikroprozessoren in Steu- 
ergeraten eines Kfz 

Die Erfindung betrifft ein Verfahren zur Fehlererkennung von 
Mikroprozessoren in Steuergeraten eines Kfz nach dem Ober- 
begriff des Patentanspruches 1, 2 oder 3. 

Der Aninelderin sind bereits derartige Verfahren bekannt, bei 
denen ein Mikroprozessor und/oder ein Datenbus mittels einer 
Watchdog-Schaltung uberwacht werden. Dabei wird mittels ei- 
ner Watchdog-Schaltung zyklisch uberwacht, ob Signalimpulse 
auftreten, d.h. ob Daten gesendet werden. Wenn keine Signal- 
impulse auftreten, wird ein Fehler erkannt. Weiterhin ist es 
bekannt, Steuergerate mit zwei Mikroprozessoren zu versehen, 
die zumindest bestimmte Steuer- oder Regelauf gaben parallel 
bearbeiten, Aus einem Vergleich der von den beiden Mikro- 
prozessoren gewonnen Ergebnisse kann im Falle von Abweichun- 
gen in den Ergebnissen ebenfalls ein Fehler erkannt werden, 

Demgegenliber ist es die Aufgabe der vorliegenden Erfindung, 
eine Uberwachung zu verbessern, indem diese Uberwachung mit 
einem moglichst geringen Bauteileaufwand moglich ist und 
gleichzeitig moglichst sichere Ergebnisse bei der Fehler- 
erkennung lief ert . 

Diese Aufgabe wird erf indungsgemai3 nach Anspruch 1 gelost, 
indem die Watchdog-Schaltung die von dem Mikroprozessor aus- 
gegebenen Signale mit vorgegebenen Signalmustern vergleicht, 
wobei ein Fehler erkannt wird, wenn die von dem Mikroprozes- 
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sor ausgegebenen Signale nicht mit einem der vorgegebenen 
Signalmuster ubereinstimmen. 

Gegeniiber der bekannten Verwendung der Watchdog-Schaltung 
erweist es sich hierbei als vorteilhaft, daJ3 nicht lediglich 
geprlift wird, ob uberhaupt Signale gesendet warden, sondern 
daJ3 ebenfalls gepriift wird, ob die Signale eventuell auf 
einen Fehler schlieBen lassen. Indem namlich das vorliegende 
Signalmuster mit den moglichen Signalmustern verglichen 
wird, kann das vorliegende Signalmuster einer Plausibili- 
tatspriifung unterzogen werden, Es kann also vorteilhaft be- 
reits dann ein Fehler erkannt werden, wenn noch Signale ge- 
sendet werden, diese Signale aber of f ensichtlich falsch s- 
ind. 

Bei dem weiteren erf indungsgemai3en Verfahren nach Anspruch 2 
werden von dem ersten Steuergerat die zur Durchfiihrung zu- 
mindest eines Teiles der Steuer- oder Regelaufgabe dieses 
Steuergerates notwendigen Daten mittels des Datenbusses dem 
wenigstens einen weiteren Steuergerat zugefuhrt. Entspre- 
chend dem Verfahren zur Steuerung bzw. Regelung in dem e- 
rsten Steuergerat werden die von dem ersten Steuergerat zu 
ermittelnden und gegebenenf alls auszugebenden Daten von dem 
wenigstens einen weiteren Steuergerat nachgebildet , wobei 
ein Fehler erkannt wird, wenn die in dem ersten Steuergerat 
ermittelten Daten von den von dem wenigstens einen weiteren 
Steuergerat ermittelten Daten abweichen. 
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Indem zumindest ein Teil der Verarbeitung des ersten Steuer- 
gerates parallel liberpruft wird, ist mit dieseni Verfahren 
eine besonders gute Uberpriifung auf eventuelle Fehler mog- 
lich. Der Auf wand bei der Zufiihrung der Daten zu dem wenig- 
stens einen weiteren Steuergerat halt sich insofern in Gren- 
zen als diesem Steuergerat die Daten nicht unmittelbar von 
den Sensoren zugefuhrt werden sondern die Daten von dem e- 
rsten Steuergerat iiber den ohnehin vorhandenen Datenbus wei- 
tergeleitet werden, Bei diesem Verfahren wird weiterhin der 
Auf wand der benotigten Bauteile minimiert, weil es nicht 
notwendig ist, zur Uberpriifung der Funktion eines Mikropro- 
zessors einen' weiteren Mikroprozessor vorzusehen, der keine 
weiteren Funktionen mehr wahrnimmt. Vielmehr kann mit dem 
Verfahren nach Anspruch 2 eine Funktionsprlif ung vorgenommen 
werden durch einen Mikroprozessor, dessen Hauptaufgabe in 
der Steuerung bzw. Regelung einer anderen Groiie besteht. Es 
ist moglich, die Steuer- bzw. Regelaufgabe vollstandig auf 
einem anderen Mikroprozessor parallel verarbeiten zu lassen, 
dessen Hauptf unktion die Steuerung oder Regelung einer ande- 
ren Gr6J3e ist, so daJ3 dieser Mikroprozessor in einem anderen 
Steuergerat angeordnet ist, oder aber nur sicherheitsrele- 
vante Telle der Steuer- bzw. Regelaufgabe zur Kontrolle par- 
allel laufen zu lassen. 

Bei dem Verfahren nach Anspruch 3 werden die zur Durchfiih- 
rung zumindest eines Teiles der Steuer- oder Regelaufgabe 
des ersten Steuergerates notwendigen Daten ebenfalls wenig- 
stens einen weiteren Steuergerat zugefuhrt. Entsprechend dem 
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Verfahren zur Steuerung bzw. Regelung in dem ersten Steuer- 
gerat werden die von dem ersten Steuergerat zu ermittelnden 
und gegebenenf alls auszugebenden Daten von dem wenigstens 
einen weiteren Steuergerat nachgebildet , wobei ein Fehler 
erkannt wird, wenn die in dem ersten Steuergerat ermittelten 
Daten von den von dem wenigstens einen weiteren Steuergerat 
ermittelten Daten abweichen. 

Dieses Verfahren unterscheidet sich von dem Verfahren nach 
Anspruch 2 dadurch, dai3 die Daten dem wenigstens einen wei- 
teren Steuergerat direkt zugeflihrt werden. Dadurch steigt 
zwar der Aufwand hinsichtlich der Verkabelung, es kann aber 
auch der Leistungsumf ang verbessert werden. Beispielsweise 
ist es auch moglich, Verarbeitungsf ehler aufgrund einer feh- 
lerhaften Verbindung von beispielsweise einem Sensor mit dem 
Steuergerat f estzustellen . Eine solche fehlerhafte Verbin- 
dung kann beispielsweise in einer falschen Verkabelung oder 
auch in einer korrodierten Kontaktierung begriindet sein. 
Weitere Vorteile bestehen dann, wenn das fehlerhafte Steuer- 
gerat abgeschaltet und dessen Steuer- bzw. Regelaufgabe von 
dem wenigstens einen weiteren Steuergerat ubernommen werden 
soli. Wenn das wenigstens eine weitere Steuergerat die Daten 
von dem ersten Steuergerat ubermittelt bekommt, stehen diese 
Daten nach einem Abschalten des ersten Steuergerates nicht 
mehr zur Verfugung. 

Bei dem Verfahren nach Anspruch 4 werden die von dem ersten 
Steuergerat auszugebenden Daten mittels des Datenbusses von 
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dem ersten Steuergerat an das wenigstens eine weitere Steu- 
ergerat iibermittelt . 

Die Kontrolle und der Vergleich der Daten wird dann in dem 
wenigstens einen weiteren Steuergerat vorgenommen . 

Bei dem Verfahren nach Anspruch 5 werden die von dem ersten 
Steuergerat auszugebenden Daten mittels des Datenbusses von 
dem wenigstens einen weiteren Steuergerat an das erste 
Steuergerat ubermittelt. 

Die Kontrolle und der Vergleich der Daten wird dann in dem 
ersten Steuergerat vorgenommen, 

Bei dem Verfahren nach Anspruch 6 werden die auszugebenden 
Daten als Prlifsummen zusammengef ai3t . 

Durch die Bildung dieser Priifsummen aus den Daten (bei- 
spielsweise durch Bilden von Quersummen o,a) wird vorteil- 
haft die Datenmenge reduziert, die liber den Datenbus liber- 
tragen werden muJ3. Dies wirkt sich besonders bei einer Viel- 
zahl von Steuergeraten aus, die sich wechselseitig liberprli- 
f en. 

Bei dem Verfahren nach Anspruch 7 werden die ermittelten 
Daten einer Plausibilitatsprlif ung unterzogen. 
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Wenn eine Abweichung in den ermittelten Daten zweier Steuer- 
gerate festgestellt wird, laJit sich anhand einer Plausibili- 
tatspriifung unter Umstanden feststellen, welches der Steuer- 

gerate einen Fehler aufweist. Eine Plausibilitatspruf ung 
kann beispielsweise darin bestehen^ da5 flir bestimmte GroJJen 
bestimmte Grenzwerte vorgegeben sind, innerhalb der sich 
diese GroBen befinden mlissen. 

Bei dem Verfahren nach Anspruch 8 werden die von dem ersten 
Steuergerat zu ermittelnden Daten durch wenigstens zwei wei- 
tere Steuergerate uberpriift. Dabei wird das Steuergerat als 
fehlerhaft erkannt, dessen ermittelte Daten von den ermit- 
telten Daten der anderen Steuergerate abweichen, soweit die- 
se ermittelten Daten ubereinstimmen . 

Wenn die Daten mehrerer Steuergerate ubereinstimmen, besteht 
eine uberwiegende Wahrscheinlichkeit , daB diese Steuergerate 
fehlerfrei arbeiten. Gegebenenf alls kann dieses Kriterium 
noch mit einer Plausibilitatspruf ung gemaB Anspruch 7 ver- 
bunden werden. 

Bei dem Verfahren nach Anspruch 9 wird das Steuergerat bei 
einem erkannten Fehler abgeschaltet . 

Dadurch kann vorteilhaft die Ausgabe fehlerhafter Stellgro- 
Ben vermieden werden. 
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Bei dem Verfahren nach Anspruch 10 wird die Steuer- bzw. 
Regelaufgabe des abgeschalteten Steuergerates von wenigstens 
einem anderen Steuergerat mit ubernommen . 

Dadurch wird vorteilhaft die Funktion aufrecht erhalten. 
Beim nachsten Werkstattauf enthalt kann das defekte Steuerge- 
rat wieder instand gesetzt werden. 

Ein Ausf uhrungsbeispiel der Erfindung ist in der Zeichnung 
naher dargestellt. Es zeigt dabei im einzelnen: 

Fig. 1: ein Ausf uhrungsbeispiel , bei der ein Mikroprozessor 
eines Steuergerates mittels einer Watchdog-Schal- 
tung uberwacht wird und 

Fig. 2: ein Ausf uhrungsbeispiel, bei dem sich zwei Mikro- 
prozessoren verschiedener Steuergerate gegenseitig 
bzw. selbst uberwachen. 

Bei dem Ausf uhrungsbeispiel der Figur 1 ist ein Mikroprozes- 
sor 1 eines Steuergerates mit einem Taktgeber (Quarz) 2 ver- 
bunden. Weiterhin ist der Mikroprozessor uber Leitungen 3.1 
und 3.2 an einen Datenbus angeschlossen, liber den der Mikro- 
prozessor mit anderen Mikroprozessoren Daten austauschen 
kann. Diese Leitungen 3.1 und 3.2 werden von einer Watchdog- 
Schaltung 4 mit einem eigenen Taktgeber 2 uberwacht. 
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Erf indungsgemaB uberwacht diese Watchdog-Schaltung die Lei- 
tungen 3.1 und 3.2 nicht nur darauf, dai3 Signale gesendet 
werden sondern uberwacht die von dem Mikroprozessor gesende- 
ten Daten darauf, dai3 diese Daten bestinunten Signalmustern 
entsprechen. Die von dem Mikroprozessor ausgegebenen Daten 
entsprechen bestimmten Signalmustern, wenn diese Daten 
plausibel und richtig sind. Indem also die Watchdog-Schal- 
tung die von dem Mikroprozessor ausgegebenen Daten auf eine 
Ubereinstimmung mit den Signalmustern uberwacht, kann mit- 
tels der Watchdog-Schaltung nicht nur ein Totalausfall des 
Mikroprozessors erkannt werden sondern auch ein Betriebs- 
zustand des Mikroprozessors, bei dem dieser fehlerhafte Si- 
gnale erzeugt. 

Wenn ein Fehler erkannt wurde, kann von der Watchdog-Schal- 
tung 4 iiber eine Leitung 8 eine Abschalteinrichtung 5 ange- 
steuert werden, bei der ein Schaltelement 7 einen steuer- 
baren Schalter 6 off net. 

Wie in Figur 1 dargestellt, kann auch der Mikroprozessor 1 
liber die Leitung 9 und die Leitung 8 die Abschalteinrichtung 
5 ansteuern und sich damit selbst abschalten, wenn der Mi- 
kroprozessor 1 - beispielsweise aufgrund einer Plausibili- 
tatspriifung - erkennt, daB ein Betriebsf ehler vorliegt. 

Figur 2 zeigt ein Ausf uhrungsbeispiel , bei dem sich zwei 
Mikroprozessoren 201 und 251 gegenseitig und selbst liberwa- 
chen. Die Mikroprozessoren sind dabei in zwei verschiedenen 
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Steuergeraten untergebracht . Die jeweilige Hauptf unktion der 
Mikroprozessoren 201 und 251 besteht also in verschiedenen 
Steuer- bzw, Regelauf gaben. 

Dem Mikroprozessor 201 werden fur seine Hauptf unktion bei- 
spielsweise Signale von Sensoren zugeflihrt, die in der Figur 
2 zusammenf assend mit dem Bezugszeichen 202 dargestellt s- 
ind. Die Signale dieser Sensoren werden dem Mikroprozessor 
liber eine oder mehrere Signalleitungen 203 zugefiihrt. Wei- 
terhin ist der Mikroprozessor 201 mit Aktuatoren verbunden, 
die in der Figur 2 zusammenf assend mit dem Bezugszeichen 204 
dargestellt sind. Die Aktuatoren 204 werden von dem Mikro- 
prozessor 201 liber eine oder mehrere Leitungen 205 angesteu- 
ert . 

Die beiden Mikroprozessoren 201 und 251 konnen liber Leitun- 
gen 220 und 221 eines Datenbusses Daten miteinander austau- 
schen. 

Dem Mikroprozessor 251 werden flir seine Hauptf unktion bei- 
spielsweise Signale von Sensoren zugeflihrt, die in der Figur 
2 zusammenf assend mit dem Bezugszeichen 252 dargestellt s- 
ind. Die Signale dieser Sensoren werden dem Mikroprozessor 
liber eine oder mehrere Signalleitungen 253 zugeflihrt • Wei- 
terhin ist der Mikroprozessor 251 mit Aktuatoren verbunden, 
die in der Figur 2 zusammenf assend mit dem Bezugszeichen 254 
dargestellt sind. Die Aktuatoren 254 werden von dem Mikro- 
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prozessor 251 liber eine Oder mehrere Leitungen 255 angesteuert, 

Weiterhin sind in der Figur 2 Abschalteinrichtungen 206 und 
256 zu sehen, bei deren Ansteuerung jeweils die Mikroprozes- 
soren 201 und 251 abgeschaltet werden konnen. Die Abschalt- 
einrichtungen 206 und 256 bestehen jeweils aus einem steuer- 
baren Schalter 207 bzw, 257 und einem Schaltelement 208 bzw. 
258. Jede der Abschalteinrichtungen 206 und 256 kann vor- 
teilhaft von beiden Mikroprozessoren 201 und 251 angesteuert 
werden. Dies erfolgt liber die Leitungen 207 und 209 bzw. 
liber die Leitungen 257 und 259. Dadurch ist es vorteilhaf- 
terweise moglich, daJ3 sich jeder der Mikroprozessoren 201 
und 251 bei einem erkannten Fehler selbst abschaltet als 
auch daJ3 einer der Mikroprozessoren von dem anderen Mikro- 
prozessor abgeschaltet wird, wenn dieser andere Mikroprozes- 
sor bei dem einen Mikroprozessor einen Fehler erkennt. Urn 
den Verkabelungsaufwand zu minimieren, kann die Abschaltung 
auch soweit reduziert werden, daJ3 jeder Mikroprozessor nur 
von einem der Mikroprozessoren abgeschaltet werden kann. 

Mit der bisher beschriebenen Ausgestaltung kann einer der 
Mikroprozessoren 201 und 251 dem anderen Mikroprozessor liber 
den Datenbus 220, 221 die von den jeweiligen Sensoren 202 
bzw. 252 empfangenen Daten libersenden. In dem anderen Mikro- 
prozessor kann entsprechend den dann vorliegenden Daten die 
Steuer- bzw. Regelaufgabe parallel bearbeitet werden. Das 
Ergebnis kann liber den Datenbus ubertragen und in einem der 
Mikroprozessoren 201 bzw. 251 verglichen werden. Wenn die 
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Ergebnisse voneinander abweichen, liegt in einem der Mikro- 
prozessoren ein Fehler vor, der eventuell aufgrund einer 
Plausibilitatsprlif ung oder aufgrund eines Vergleiches mit 
dem Ergebnis eines (hier aus Griinden der Ubersichtlichkeit 
nicht naher dargestellten ) dritten Mikroprozessors lokali- 
siert werden kann. Der fehlerhafte Mikroprozessor kann liber 
die Ansteuerung der entsprechenden Abschalteinrichtung 206 
bzw. 256 abgeschaltet werden. Diese Abschaltung kann von dem 
entsprechenden Mikroprozessor selbst vorgenommen werden oder 
von dem anderen Mikroprozessor. 

Um die Menge der zu iibertragenden Daten zu minimieren, kann 
das Ergebnis der Steuer- bzw. Regelaufgabe zwecks des Ver- 
gleiches auch in einer oder mehreren Priifsummen zusammenge- 
fai3t werden. 

Weiterhin sind in der Darstellung der Figur 2 noch gestri- 
chelte Linien 210 und 260 sowie 211 und 261 dargestellt. 

Mittels dieser dargestellten Leitungen werden die Sensor- 
daten unmittelbar auch jeweils dem Mikroprozessor zugefuhrt, 
dessen Hauptauf gabe nicht in der Bearbeitung der Steuer- 
bzw. Regelaufgabe dieser erfaBten Sensordaten besteht. 

Vorteilhaft kann mit dieser Ausf lihrungsf orm eventuell ein 
Fehler erkannt werden, der auf einem falschen AnschluB der 
Sensoren an dem jeweiligen Mikroprozessor beruht bzw. auf 
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einer fehlerhaften Kontaktierung, beispielsweise aufgrund 
einer Korrosion des Anschlusses, 

Ein weiterer Vorteil besteht darin, dafi der kontrollierende 
Mikroprozessor die Steuer- bzw. Regelaufgabe des kontrol- 
lierten (und infolge eines erkannten Fehlers abgeschalteten ) 
Mikroprozessors libernehiuen kann, weil diesem die Daten der 
Sensoren weiterhin auch nach einem Abschalten des anderen 
Mikroprozessors zur Verfligung stehen. Bei dieser Aus- 
f uhrungsf oriti sind die Aktuatoren der jeweils von den beiden 
Mikroprozessoren 201 und 251 auch xiber ebenfalls gestrichel- 
te dargestellte Leitungen 211 und 261 von dem jeweils ande- 
ren Mikroprozessor ansteuerbar, damit bei einer Abschaltung 
eines Mikroprozessors aufgrund eines Fehlerfalles die 
Steuer- bzw, Regelaufgabe von dem jeweils anderen Mikropro- 
zessor ubernonuuen werden kann. 
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PATENTANSPRUCHE 

1 . Verf ahren zur Fehlererkennung von Mikroprozessoren ( 1 ) 
in Steuergeraten eines Kfz, wobei ein Steuergerat mit- 
tels eines Datenbusses (3.1, 3.2) Daten senden und emp- 
fangen kann, wobei der Ausgang des Mikroprozessors (1) 
mittels einer Watchdog-Schaltung (4) liberwacht wird, 
dadurch gekennzeichnet , daB die Watchdog-Schaltung (4) 
die von dem Mikroprozessor (1) ausgegebenen Signale mit 
vorgegebenen Signalmustern vergleicht, wobei ein Fehler 
erkannt wird, wenn die von dem Mikroprozessor (1) ausge- 
gebenen Signale nicht mit einem der vorgegebenen Signal- 
muster ubereinstimmen. 



2. Verf ahren zur Fehlerkennung von Mikroprozessoren (201, 
251) in Steuergeraten eines Kfz, wobei ein erstes Steu- 
ergerat mittels eines Datenbusses (220, 221) Daten mit 
wenigstens einem weiteren Steuergerat austauschen kann, 
dadurch gekennzeichnet , daB von dem ersten Steuergerat 
die zur Durchfuhrung zumindest eines Teiles der Steuer- 
oder Regelaufgabe dieses Steuergerates notwendigen Daten 
(202, 252) mittels des Datenbusses (220, 221) dem wenig- 
stens einen weiteren Steuergerat zugefuhrt werden, daB 
entsprechend dem Verfahren zur Steuerung bzw. Regelung 
in dem ersten Steuergerat die von dem ersten Steuergerat 
zu ermittelnden und gegebenenf alls auszugebenden Daten 
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(204, 254) von dem wenigstens einen weiteren Steuergerat 
nachgebildet werden, wobei ein Fehler erkannt wird, wenn 
die in dem ersten Steuergerat ermittelten Daten von den 
von dem wenigstens einen weiteren Steuergerat ermittel- 
ten Daten abweichen. 

3. Verfahren zur Fehlerkennung von Mikroprozessoren (201, 
251) in Steuergeraten eines Kfz, wobei ein erstes Steu- 
ergerat mittels eines Datenbusses Daten mit wenigstens 
einem weiteren Steuergerat austauschen kann, 
dadurch gekennzeichnet , dal3 die zur Durchfuhrung zumin- 
dest eines Teiles der Steuer- oder Regelaufgabe des e- 
rsten Steuergerates notwendigen Daten (202, 252) eben- 
falls dem wenigstens einen weiteren Steuergerat zuge- 
flihrt werden (260, 210), daJ3 entsprechend dem Verfahren 
zur Steuerung bzw. Regelung in dem ersten Steuergerat 
die von dem ersten Steuergerat zu ermittelnden und gege- 
benenfalls auszugebenden Daten (204, 254) von dem wenig- 
stens einen weiteren Steuergerat nachgebildet werden, 
wobei ein Fehler erkannt wird, wenn die in dem ersten 
Steuergerat ermittelten Daten von den von dem wenigstens 
einen weiteren Steuergerat ermittelten Daten abweichen. 

4. Verfahren nach Anspruch 2 oder 3, 

dadurch gekennzeichnet, daB die von dem ersten Steuerge- 
rat auszugebenden Daten mittels des Datenbusses (220, 
221) von dem ersten Steuergerat an das wenigstens eine 
weitere Steuergerat libermittelt werden. 
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5. Verfahren nach Anspruch 2 oder 3, 

dadurch gekennzeichnet , daB die von dem ersten Steuerge- 
rat auszugebenden Daten itiittels des Datenbusses (220, 
221) von dem wenigstens einen weiteren Steuergerat an 
das erste Steuergerat ubermittelt werden, 

6. Verfahren nach Anspruch 4 oder 5, 

dadurch gekennzeichnet , daB die auszugebenden Daten als 
eine oder mehrere Prufsuramen zusammengef aJ3t werden. 

7. Verfahren nach einem der Ansprliche 2 bis 6, 

dadurch gekennzeichnet , daB die ermittelten Daten einer 
Plausibilitatsprlif ung unterzogen werden. 
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8. Verfahren nach einem der Anspriiche 2 bis 7, 

dadurch gekennzeichnet , dai3 die von dem ersten Steuerge- 
rat zu ermittelnden Daten durch wenigstens zwei weitere 
Steuergerate uberpruft werden und da/3 das Steuergerat 
als fehlerhaft erkannt wird, dessen ermittelte Daten von 
den ermittelten Daten der anderen Steuergerate abwei- 
chen, soweit diese ermittelten Daten ubereinstimmen . 

9. Verfahren nach einem der Anspriiche 1 bis 8, 
dadurch gekennzeichnet , daJ3 das Steuergerat bei einem 
erkannten Fehler abgeschaltet wird (5, 206, 256). 

10. Verfahren nach Anspruch 9, 

dadurch gekennzeichnet , daB die Steuer- bzw. Regelaufga- 
be des abgeschalteten Steuergerates von wenigstens einem 
anderen Steuergerat mit ubernommen wird. 
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